BGH Urteil Werbe-E-Mail: Kein pauschaler DSGVO Schadensersatz für Spam

Unerwünschte Werbe-Mail: Wann gibt es Schmerzensgeld? BGH schafft Klarheit bei DSGVO-Klagen

Eine einzelne Werbe-E-Mail landet im Postfach – unaufgefordert, unerwünscht. Für viele ist das nur ein kleines Ärgernis, schnell gelöscht und vergessen. Doch was, wenn dieser digitale Werbemüll nicht nur nervt, sondern auch rechtliche Fragen aufwirft? Insbesondere seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) hoffen manche Betroffene auf finanziellen Schadensersatz für solche Datenschutzverstöße.

Der Bundesgerichtshof (BGH) hat nun in einem mit Spannung erwarteten Urteil (Az. VI ZR 109/23 vom 28. Januar 2025) wichtige Leitplanken für solche Fälle gesetzt. Die Entscheidung hat weitreichende Folgen – für Verbraucher, die sich gegen Spam wehren, und für Unternehmen, die per E-Mail werben. Relevant ist das für jeden, der eine E-Mail-Adresse besitzt oder Newsletter versendet.

Der Fall: Ein Aufkleber-Kauf mit unerwünschtem Nachspiel

Die Werbe-Mail in Krisenzeiten

Alles begann harmlos: Im Januar 2019 kaufte ein Mann, nennen wir ihn Herrn S., bei einer Firma Aufkleber für seinen Briefkasten. Über ein Jahr später, im März 2020, fand Herr S. eine E-Mail ebenjener Firma in seinem Posteingang. Darin teilte das Unternehmen mit, dass es trotz der gerade beginnenden COVID-19-Pandemie weiterhin mit vollem Service für seine Kunden da sei. Eine Information, die Herr S. jedoch nicht angefordert hatte. Er hatte dem Erhalt solcher Werbe-E-Mails nie zugestimmt.

Die Reaktion: Widerspruch und die Forderung nach Schmerzensgeld

Herr S. reagierte prompt. Noch am selben Tag widersprach er der Nutzung seiner Daten für Werbezwecke und forderte das Unternehmen auf, eine strafbewehrte Unterlassungserklärung abzugeben. Das bedeutet, die Firma sollte versprechen, ihn künftig nicht mehr unerwünscht zu bewerben und bei Zuwiderhandlung eine Strafe zu zahlen.

Doch Herr S. ging noch einen Schritt weiter: Er verlangte ein „Schmerzensgeld“ gemäß Artikel 82 der DSGVO in Höhe von 500 Euro. Seiner Ansicht nach hatte er durch die unaufgeforderte E-Mail einen immateriellen Schaden erlitten. Als das Unternehmen zunächst nicht auf seine Forderungen reagierte – Herr S. schickte sogar noch ein Fax hinterher –, zog er vor Gericht.

Der Weg durch die Instanzen: Unterlassung ja, Geld nein

Vor dem Amtsgericht Tuttlingen hatte Herr S. mit seinem Unterlassungsanspruch Erfolg; das Unternehmen erkannte diesen Teil der Forderung an. Den Schadensersatzanspruch in Höhe von 500 Euro wies das Amtsgericht jedoch zurück.

Herr S. gab nicht auf und legte Berufung beim Landgericht Rottweil ein. Doch auch dort blitzte er mit seiner Geldforderung ab. Das Landgericht meinte, Herr S. habe keinen konkreten immateriellen Schaden nachgewiesen. Zudem ging es – fälschlicherweise, wie sich später herausstellen sollte – davon aus, dass für einen Schadensersatz eine bestimmte „Bagatellgrenze“ überschritten sein müsse. Ein kurzfristiger Verlust der Datenhoheit oder bloß substanzlose, allgemeine Belästigungen reichten dafür nicht aus, so das Landgericht. Unzufrieden mit dieser Entscheidung zog Herr S. weiter vor den Bundesgerichtshof, das höchste deutsche Zivilgericht. Sein Ziel: doch noch die 500 Euro Schadensersatz zu erstreiten.

Dieser Fall von Herrn S. ist typisch für Situationen, in denen Privatpersonen sich durch unerlaubte Werbung belästigt fühlen und die DSGVO als Hebel für eine Entschädigung sehen. Die menschliche Dimension – der Ärger über die unerwünschte Kontaktaufnahme, das Gefühl, die Kontrolle über die eigenen Daten verloren zu haben – stand hier im Mittelpunkt des Interesses von Herrn S.

Die Gretchenfrage vor dem BGH: Wann ist Ärger auch ein rechtlich relevanter Schaden?

Was musste der BGH klären?

Vor dem BGH standen mehrere juristische Kernfragen im Raum, die für unzählige ähnliche Fälle von Bedeutung sind:

• Reicht der bloße Erhalt einer einzelnen, unerwünschten Werbe-E-Mail – also ein klarer Verstoß gegen die DSGVO – schon aus, um einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO zu begründen?
• Wie ist der Begriff „immaterieller Schaden“ in solchen Fällen zu verstehen? Ist jedes Unwohlsein schon ein Schaden?
• Was genau ist ein „Kontrollverlust“ über personenbezogene Daten, und wann ist er so gravierend, dass er einen Schadensersatz rechtfertigt?
• Kann eine bloße „Befürchtung des Missbrauchs“ von Daten zu einem Schadensersatzanspruch führen, auch wenn noch gar nichts passiert ist?
• Gibt es eine Bagatellgrenze, also eine Schwelle, ab der ein Schaden erst „erheblich“ genug für eine Entschädigung ist?
• Und wer muss was beweisen (Beweislast)?

Die Argumentation des Klägers

Herr S. argumentierte, der Erhalt der unerwünschten Werbe-Mail stelle einen DSGVO-Verstoß dar, der ihm einen immateriellen Schaden verursacht habe. Die unerwünschte Kontaktaufnahme, die Notwendigkeit, darauf zu reagieren (Widerspruch schreiben etc.), und ein empfundener Verlust der Kontrolle über seine E-Mail-Adresse seien ausreichend für eine Entschädigung. Die geforderten 500 Euro sind eine Summe, die in vielen ähnlichen Klagen bei geringfügigen DSGVO-Verletzungen auftaucht. Die Entscheidung des BGH hierzu hat daher Signalwirkung.

Der Fall spitzt die Debatte zu, ob Art. 82 DSGVO vorrangig einen tatsächlich erlittenen Schaden ausgleichen soll (kompensatorische Funktion) oder ob er auch eine abschreckende und bestrafende Wirkung haben soll, bei der schon der Verstoß selbst als schädigend gilt.

Das Urteil des BGH: Klare Kante bei Spam-Mails (VI ZR 109/23)

Der Bundesgerichtshof wies die Revision von Herrn S. zurück. Im Ergebnis bedeutet das: kein Schadensersatz für die einzelne Werbe-E-Mail. Doch die Begründung der Karlsruher Richter ist differenziert und setzt wichtige Maßstäbe.

Absage an die Bagatellgrenze: Jede Beeinträchtigung zählt – theoretisch

Zunächst korrigierte der BGH das Landgericht Rottweil in einem entscheidenden Punkt: Eine Bagatellgrenze oder eine bestimmte Erheblichkeitsschwelle, die ein immaterieller Schaden erreichen müsste, um ersatzfähig zu sein, gibt es nach Art. 82 DSGVO nicht. Das entspricht der Rechtsprechung des Europäischen Gerichtshofs (EuGH).

Jeder nachgewiesene immaterielle Schaden, egal wie gering, kann also theoretisch zu einem Anspruch führen. Der BGH formulierte klar: „Art. 82 Abs. 1 DSGVO steht einer nationalen Regelung oder Praxis entgegen, die den Ersatz eines immateriellen Schadens…davon abhängig macht, dass der…Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat.“

Aber: DSGVO-Verstoß allein ist noch kein Schaden!

Dieser Punkt ist zentral und für viele Kläger ernüchternd: Obwohl es keine Bagatellgrenze gibt, reicht ein bloßer Verstoß gegen die DSGVO – wie der Versand einer unerlaubten Werbe-E-Mail – für sich genommen nicht aus, um automatisch einen Schadensersatzanspruch zu begründen. Der Kläger muss vielmehr zusätzlich nachweisen, dass ihm aus diesem konkreten Verstoß auch ein tatsächlicher Schaden entstanden ist. Der BGH stellt fest: „Eine unerwünschte Werbe-E-Mail allein reicht nicht für einen immateriellen DSGVO-Schadensersatz aus.“ Der Verstoß ist die Ursache, der Schaden die Wirkung – und diese Wirkung muss der Betroffene darlegen und beweisen.

Der „Kontrollverlust“: Mehr als nur eine unerwünschte E-Mail

Herr S. hatte argumentiert, er habe durch die Werbe-Mail die Kontrolle über seine Daten verloren. Dem folgte der BGH nicht. Die Richter sahen keine Anhaltspunkte dafür, dass Herr S. allein durch den Erhalt der E-Mail einen solchen Kontrollverlust erlitten habe. Ein ersatzfähiger Kontrollverlust könnte beispielsweise dann vorliegen, wenn das werbende Unternehmen die Daten des Klägers gleichzeitig Dritten unbefugt zugänglich gemacht hätte. Das war hier aber nicht der Fall. Die E-Mail-Adresse war dem Unternehmen ja bereits aus dem früheren Kauf bekannt. Dass es diese Adresse nun für einen unautorisierten Zweck (Werbung) nutzte, führte laut BGH nicht zu einem ersatzfähigen Kontrollverlust des Herrn S. über die Daten selbst.

Auch der Aufwand, sich mit einer unerwünschten E-Mail auseinanderzusetzen (sie zu lesen, zu löschen, einen Widerspruch zu formulieren), stellt für sich genommen keinen solchen Kontrollverlust dar. Der BGH interpretiert „Kontrollverlust“ also eher eng: Es geht um die Integrität und die Verbreitung der Daten, insbesondere an neue Dritte, oder um eine Situation, in der die betroffene Person ihre Rechte (z.B. auf Löschung) nicht mehr durchsetzen kann.

„Befürchtung des Missbrauchs“: Reine Spekulation genügt nicht

Was ist mit der Angst, dass die eigenen Daten nun missbraucht werden könnten? Der BGH erkennt zwar an, dass eine gerechtfertigte Befürchtung eines Datenmissbrauchs einen Schadensersatzanspruch begründen kann. Im Fall von Herrn S. sah er eine solche Befürchtung aber als nicht ausreichend dargelegt an.

Die Sorge des Herrn S., das Unternehmen könnte seine E-Mail-Adresse zukünftig an Dritte weitergeben, nur weil es sie einmal unautorisiert für diese eine E-Mail verwendet hatte, bewerteten die Richter als hypothetisch und unzureichend. Für einen Schadensersatz muss eine solche Befürchtung konkrete, nachgewiesene negative Konsequenzen für den Betroffenen haben. Eine bloße Behauptung oder ein rein spekulatives Risiko genügen nicht. Die Befürchtung von Herrn S. war eher eine Furcht vor zukünftigen Verstößen durch dasselbe Unternehmen, nicht eine direkte, negative Folge der bereits erhaltenen E-Mail, die etwa zu einem Missbrauch durch Dritte geführt hätte.

Die Beweislast: Wer den Schaden will, muss ihn beweisen

Der BGH unterstrich: Die betroffene Person trägt die Beweislast für den erlittenen Schaden. Eine einfache Behauptung, man sei belästigt worden oder habe einen Schaden erlitten, ohne nachgewiesene negative Konsequenzen, reicht nicht aus. Auch wenn, wie der EuGH entschieden hat, ein kurzzeitiger Kontrollverlust einen Schaden ohne zusätzliche negative Folgen darstellen kann, muss der Kläger dennoch nachweisen, dass ein solcher Kontrollverlust (als Schadensform an sich) tatsächlich eingetreten ist. Und genau das sah der BGH im Fall von Herrn S. als nicht gegeben an.

Weitere Aspekte: Kontaktaufnahme nicht ehrverletzend, fehlende Reaktion kein eigener Schaden

Der BGH stellte zudem klar, dass die Kontaktaufnahme durch die einzelne Werbe-E-Mail als solche nicht ehrverletzend war. Auch die Tatsache, dass das Unternehmen zunächst nicht auf die E-Mail und das Fax von Herrn S. reagiert hatte, konnte den Schadensersatzanspruch nicht begründen. Eine solche verzögerte Reaktion könnte einen bereits bestehenden Schaden allenfalls vertiefen, aber keinen eigenständigen Schaden für die ursprüngliche Werbe-Mail darstellen.

Das Urteil im Kontext: Was sagt Europa und was ändert sich nun?

Im Einklang mit dem Europäischen Gerichtshof (EuGH)

Die Entscheidung des BGH steht im Einklang mit der Rechtsprechung des EuGH. Der BGH bezieht sich ausdrücklich auf mehrere EuGH-Urteile und bestätigt dessen zentrale Prinzipien zu Art. 82 DSGVO. Dazu gehören:

• Die autonome unionsrechtliche Definition des „immateriellen Schadens“ (er wird also nicht nach nationalem Recht, sondern EU-weit einheitlich ausgelegt).
• Die weite Auslegung des Schadensbegriffs (gemäß Erwägungsgrund 146 der DSGVO).
• Die Zurückweisung einer Bagatellgrenze oder Erheblichkeitsschwelle für Schadensersatz.

Gleichzeitig hat aber auch der EuGH (z.B. im Urteil C-741/21) betont, dass Art. 82 Abs. 1 DSGVO drei Voraussetzungen für einen Schadensersatzanspruch hat: einen Verstoß gegen die DSGVO, einen dadurch verursachten Schaden und einen Kausalzusammenhang zwischen Verstoß und Schaden.

Das Beharren des BGH auf den Nachweis eines tatsächlichen Schadens, auch wenn dieser geringfügig sein mag, deckt sich mit dieser Anforderung. Der EuGH hat auch anerkannt, dass ein Kontrollverlust einen immateriellen Schaden darstellen kann, der Kläger aber nachweisen muss, dass er einen solchen Erlitten hat. Genau dies hat der BGH im Fall von Herrn S. geprüft und verneint. Die Rolle des BGH ist es, diese EU-rechtlichen Vorgaben auf den konkreten nationalen Fall anzuwenden und zu konkretisieren.

Die Rechtslage vorher und nachher: Mehr Klarheit, höhere Hürden

Vor diesem BGH-Urteil war die Rechtslage bei Schadensersatzforderungen für unerwünschte Werbe-E-Mails in Deutschland uneinheitlich. Viele Instanzgerichte rangen mit der Frage, ob und wann ein immaterieller Schaden vorliegt und ob es eine Art „Bagatellgrenze“ gibt. Diese Unsicherheit führte zu einer Vielzahl von Klagen, teils mit geringen Erfolgsaussichten.

Durch das BGH-Urteil hat sich die Situation nun deutlich geklärt:

• Keine Bagatellgrenze: Es ist bestätigt, dass auch geringfügige Beeinträchtigungen theoretisch entschädigungspflichtig sein können.
• Aber: Nachweis eines konkreten Schadens zwingend: Der bloße Verstoß oder Ärger reicht nicht. Es muss ein individueller, nachweisbarer Schaden vorliegen (z.B. ein echter Kontrollverlust durch Datenweitergabe an Dritte oder eine substantiierte Befürchtung mit negativen Folgen). Diese klare Linie des BGH dürfte die Erfolgsaussichten für pauschale Schadensersatzforderungen wegen einzelner Spam-Mails deutlich reduzieren.

Das zugrundeliegende Rechtsgebiet: Art. 82 DSGVO kurz erklärt

Im Mittelpunkt steht Artikel 82 der Datenschutz-Grundverordnung (DSGVO). Dieser Artikel gewährt Personen, denen wegen eines Verstoßes gegen die DSGVO ein materieller (Vermögensschaden) oder immaterieller Schaden (Nicht-Vermögensschaden) entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen (das Unternehmen) oder den Auftragsverarbeiter. Ziel ist es, einen wirksamen Rechtsbehelf zu bieten und für einen Ausgleich des erlittenen Nachteils zu sorgen. Die Herausforderung liegt oft in der Definition und dem Nachweis des immateriellen Schadens.

Was bedeutet das BGH-Urteil für SIE konkret?

Für Verbraucherinnen und Verbraucher: Der Kampf gegen Spam wird nicht einfacher

Wenn Sie eine einzelne unerwünschte Werbe-E-Mail erhalten, sind die Hürden für einen finanziellen Schadensersatz nach diesem BGH-Urteil hoch.

• Sie müssen einen konkreten, individuellen Schaden nachweisen können, der über bloßen Ärger oder die Tatsache des DSGVO-Verstoßes hinausgeht. Ein „ungutes Gefühl“ oder der Aufwand, die Mail zu löschen und Widerspruch einzulegen, reichen dafür nicht.
• Ein Kontrollverlust wird nur schwer anzunehmen sein, wenn Ihre Daten nicht an Dritte weitergegeben wurden oder Sie anderweitig die tatsächliche Verfügungsgewalt darüber verloren haben.
• Eine Befürchtung zukünftigen Missbrauchs muss sehr gut begründet und mit konkreten negativen Auswirkungen untermauert sein.

Wichtig ist jedoch:

Ihr Anspruch auf Unterlassung bleibt von diesem Urteil unberührt! Sie können weiterhin (und oft erfolgreich) vom Werbenden verlangen, dass er Ihnen künftig keine unerwünschten E-Mails mehr schickt. Im Fall von Herrn S. war dieser Teil der Klage ja erfolgreich. Oft ist es ratsam, zunächst eine klare Unterlassungsaufforderung (am besten nachweisbar, z.B. per Einschreiben oder E-Mail mit Lesebestätigung) an das Unternehmen zu senden. Reagiert dieses nicht, können weitere rechtliche Schritte überlegt werden.

Ein praktischer Tipp:

Dokumentieren Sie genau, was passiert ist (Datum der Mail, Inhalt, Ihre Reaktion). Für einen Schadensersatzanspruch sollten Sie überlegen, ob Ihnen über den reinen Ärger hinaus Nachteile entstanden sind. Wurden Ihre Daten vielleicht tatsächlich an andere Firmen weitergegeben? Haben Sie dadurch Nachteile erlitten?

Für Unternehmen: Erleichterung, aber keine Entwarnung

Für Unternehmen, die personenbezogene Daten verarbeiten und Marketing betreiben, bringt das Urteil eine gewisse Erleichterung und mehr Rechtssicherheit. Das Risiko, wegen jeder einzelnen, versehentlich oder fehlerhaft versandten Werbe-E-Mail mit hohen Schadensersatzforderungen konfrontiert zu werden, sinkt, sofern kein konkreter Schaden beim Empfänger eintritt. Aber Vorsicht: Das Urteil ist kein Freifahrtschein für laxe Datenschutzpraktiken!

• Die Pflicht zur Einhaltung der DSGVO (z.B. Einholung einer wirksamen Einwilligung für Werbe-E-Mails nach Art. 6 DSGVO und § 7 Abs. 2 Nr. 3 UWG) besteht uneingeschränkt weiter.
• Verstöße können nach wie vor zu Bußgeldern durch die Datenschutz-Aufsichtsbehörden führen, die empfindlich hoch sein können.
• Auch Unterlassungsansprüche von Betroffenen bleiben bestehen und können Kosten verursachen.

Unternehmen sollten weiterhin ihre Marketingprozesse sorgfältig prüfen und sicherstellen, dass Einwilligungen korrekt eingeholt und dokumentiert werden. Eine schnelle und professionelle Reaktion auf Betroffenenanfragen (Widersprüche, Auskunftsersuchen) ist ebenfalls ratsam, um teure Rechtsstreitigkeiten schon im Vorfeld zu vermeiden. Auch wenn Schadensersatzforderungen für Einzelfälle nun als weniger erfolgversprechend eingeschätzt werden können, bleiben andere rechtliche Konsequenzen bestehen.

Auswirkungen auf „Abmahnwellen“ und Massenklagen

Das BGH-Urteil könnte auch die Strategien bei sogenannten Massenklagen beeinflussen. Modelle, bei denen Anwaltskanzleien versuchen, eine große Anzahl relativ geringfügiger DSGVO-Verstöße (wie den Versand von Werbe-Mails ohne Einwilligung an viele Empfänger) zu bündeln und pauschal Schadensersatz für jeden einzelnen Betroffenen zu fordern, dürften es schwerer haben.

Wenn nicht für jeden Kläger ein individueller, konkreter Schaden nachgewiesen werden kann, wird dieses Vorgehen weniger erfolgversprechend. Der Fokus bei Schadensersatzklagen wird sich voraussichtlich stärker auf Fälle mit tatsächlich nachweisbarem und oft auch schwerwiegenderem Schaden verlagern, wie beispielsweise nach Datenlecks mit Weitergabe sensibler Daten an Dritte, Identitätsdiebstahl oder schwerer emotionaler Belastung.

Es ist wichtig zu betonen, dass dieses BGH-Urteil sich auf den spezifischen Fall einer einzelnen, unerwünschten Werbe-E-Mail bezieht. Andere Arten von DSGVO-Verstößen können durchaus anders bewertet werden. Fälle von Daten-Scraping, bei denen persönliche Daten massenhaft von Webseiten abgegriffen und missbraucht werden, oder Fälle fehlerhafter Kreditauskünfte (wie sie der BGH am selben Tag in einem SCHUFA-Fall verhandelte siehe: Az. VI ZR 183/22) können einen Kontrollverlust oder einen Schaden viel offensichtlicher begründen. Der BGH differenziert hier also je nach Art und Schwere des Verstoßes und dessen konkreten Auswirkungen. Die nun etablierten Grundsätze – kein Schadensersatz ohne nachgewiesenen individuellen Schaden – werden aber richtungsweisend sein.

Spam-Mail und Schmerzensgeld: Warum Ärger allein vor dem BGH nicht reicht

Das BGH-Urteil unterstreicht: Ein DSGVO-Verstoß, etwa eine einzelne Werbe-Mail, führt nicht automatisch zu Schmerzensgeld. Es bedarf des Nachweises eines konkreten, individuellen Schadens, der über bloße Belästigung hinausgeht und den der Betroffene beweisen muss.

Für Verbraucher bedeutet dies höhere Hürden für Entschädigungen; der Unterlassungsanspruch bleibt aber bestehen. Unternehmen sind nicht aus dem Schneider: DSGVO-Compliance ist weiterhin essenziell, um Bußgelder und andere rechtliche Nachteile zu vermeiden.